eIDAS 2.0 explicado: cartera europea, plazos y firma electrónica en España

eIDAS 2.0 es el Reglamento (UE) 2024/1183, en vigor desde el 20 de mayo de 2024. Cada Estado debe ofrecer una cartera europea de identidad digital a más tardar el 24 de diciembre de 2026, y las empresas obligadas a usar autenticación reforzada deben aceptarla, si el usuario lo pide, a más tardar el 24 de diciembre de 2027. Los niveles de firma SES, AES y QES siguen igual.

El nombre, también escrito eIDAS2, es informal. El Reglamento (UE) 2024/1183 reforma el Reglamento (UE) 910/2014, que sigue siendo el texto base, y su título oficial habla del «marco europeo de identidad digital».

Citamos los artículos como en la versión española (5 bis, 5 septies); en inglés son 5a y 5f.

Con el reglamento de 2014, notificar un sistema nacional de identificación electrónica era voluntario, como recuerda la página de la Comisión Europea sobre el reglamento EUDI, y ninguna empresa privada estaba obligada a aceptarlo. La reforma añade cinco piezas:

1. 1.
   Una cartera europea de identidad digital en cada Estado miembro (artículo 5 bis).
2. 2.
   La obligación de aceptarla en ciertos servicios públicos y privados (artículo 5 septies).
3. 3.
   Cuatro servicios de confianza nuevos (artículo 3, punto 16).
4. 4.
   La cartera como vía para obtener un certificado cualificado (artículo 24, apartado 1 bis).
5. 5.
   Los navegadores deben reconocer los certificados cualificados de sitio web (artículo 45, apartado 1 bis).

Lo que no toca: según el artículo 2, apartado 3, el reglamento no afecta al Derecho de la Unión o nacional sobre la celebración y validez de los contratos ni a los requisitos de forma. Si una ley española exige una forma concreta para un contrato, sigue exigiéndola.

La cartera EUDI es una aplicación donde guardas tus datos de identificación y declaraciones de atributos, como el carné de conducir o un título, para presentarlos a quien los pida. Debe estar bajo tu control exclusivo y permitir la divulgación selectiva: enseñas el dato necesario, no el documento entero.

No tiene por qué ser una app del Gobierno. La puede ofrecer el Estado, un tercero por encargo suyo o un tercero independiente reconocido por el Estado (artículo 5 bis, apartado 2). El código de los componentes que se instalan en tu dispositivo debe ser abierto.

Es gratis para las personas físicas y voluntaria (apartados 13 y 15). Quien no la use no puede quedar perjudicado, y los servicios tienen que seguir aceptando otros medios de identificación.

Para quien firma contratos, lo interesante es que la cartera firma con QES, gratis y por defecto para las personas físicas (apartado 5, letra g). Un matiz: cada Estado puede limitar esa gratuidad a fines no profesionales.

Tampoco se parte de cero. En abril de 2023 arrancaron cuatro pilotos a gran escala con más de 350 entidades de 26 Estados miembros, Noruega, Islandia y Ucrania, y uno de los casos probados fue la firma de contratos (Comisión Europea).

El reglamento no da fechas de calendario para la cartera. Da plazos que corren desde la entrada en vigor de los actos de ejecución del artículo 5 bis, apartado 23, y del artículo 5 quater, apartado 6: el 24 de diciembre de 2024. Con 24 meses para los Estados y 36 para las empresas obligadas, salen las dos fechas clave.

La Comisión ha aprobado al menos tres paquetes de actos (noviembre de 2024, mayo y julio de 2025), entre ellos el registro de partes usuarias, es decir, de quienes piden datos a la cartera. La tabla los ordena.

El efecto jurídico se mantiene. El artículo 25 sigue diciendo que no se puede negar efecto jurídico ni admisibilidad como prueba a una firma solo por ser electrónica o no cualificada, y que la QES equivale a la firma manuscrita. Los requisitos de la firma avanzada del artículo 26 (vínculo único con el firmante, capacidad de identificarlo, control exclusivo y detección de cambios) tampoco cambian.

Cambia lo que rodea a la firma. Para obtener un certificado cualificado, el artículo 24, apartado 1 bis, admite la cartera EUDI junto a otros métodos, y el Reglamento de Ejecución 2025/1566 fija las normas de esa verificación desde el 19 de agosto de 2027.

Y la cartera firma con QES sin coste para las personas físicas. Para quien envía contratos, este es probablemente el cambio con más efecto práctico: una contraparte particular podrá firmar con QES sin contratar un certificado.

Queda un punto abierto: el nuevo artículo 26, apartado 2, pedía a la Comisión evaluar antes del 21 de mayo de 2026 si hacen falta normas de referencia para la firma avanzada. No hemos comprobado el resultado, así que no lo damos por hecho. Cuándo compensa pagar por una QES lo explicamos en la guía sobre los requisitos de la firma cualificada.

En 2014 los servicios de confianza eran firmas, sellos, sellos de tiempo, entrega electrónica certificada, certificados de sitio web y conservación. El artículo 3, punto 16, suma cuatro:

Gestión de dispositivos de creación de firma a distancia

Cubre la gestión a distancia, por un prestador, de los dispositivos que crean la firma o el sello. La versión cualificada la regula el Reglamento de Ejecución 2025/1567 desde el 19 de agosto de 2027.

Declaraciones electrónicas de atributos

Su expedición y validación son ahora servicios de confianza. Una declaración cualificada, o la expedida por un organismo público responsable de una fuente auténtica, tiene el mismo efecto jurídico que una en papel (artículo 45 ter).

Archivo electrónico

El cualificado lo prestan prestadores cualificados y mantiene los documentos legibles al menos durante el período de conservación legal o contractual (artículo 45 undecies).

Libro mayor electrónico

No se le puede negar efecto jurídico solo por no ser cualificado. Solo el cualificado, gestionado por prestadores cualificados, tiene presunción de orden cronológico exacto e integridad (artículos 45 duodecies y 45 terdecies).

Aparte, los navegadores deben reconocer los certificados cualificados de autenticación de sitios web y mostrar los datos de identidad que certifican (artículo 45, apartado 1 bis).

Antes de contratar uno de estos servicios como cualificado, conviene comprobar un prestador en la lista de confianza. Si firmas en nombre de una empresa, te servirá la guía del sello electrónico eIDAS.

El artículo 5 septies distingue tres grupos:

• Sector público (apartado 1): si un servicio público en línea exige identificación y autenticación electrónicas, tiene que aceptar también la cartera.
• Empresas privadas (apartado 2): la aceptan cuando el Derecho de la Unión, el nacional o un contrato les obliga a usar autenticación reforzada para identificar en línea. El texto cita, entre otros, transporte, energía, banca, servicios financieros, seguridad social, sanidad, agua potable, servicios postales, infraestructura digital, educación y telecomunicaciones. Plazo: 24 de diciembre de 2027.
• Plataformas en línea de muy gran tamaño (apartado 3): si exigen autenticación, aceptan la cartera y piden solo los datos mínimos. Sin plazo propio.

Lo decisivo es la obligación de autenticación reforzada, más que el sector: al menos dos factores independientes de categorías distintas, como algo que sabes y algo que tienes (artículo 3, punto 51). Además, la aceptación es solo a petición voluntaria del usuario, y las micro y pequeñas empresas de la Recomendación 2003/361/CE quedan fuera.

Es plataforma de muy gran tamaño la que tiene una media mensual de 45 millones o más de destinatarios activos en la UE y ha sido designada como tal (artículo 33 del Reglamento de Servicios Digitales); según su considerando 76, esa cifra equivale al 10 % de la población de la Unión.

Para pedir datos a la cartera tendrás que registrarte como parte usuaria en el Estado donde estés establecido (artículo 5 ter). Desde el 24 de diciembre de 2026 cada Estado debe llevar un registro público (Reglamento de Ejecución 2025/848), y solo los registrados reciben el certificado de acceso que la cartera valida.

En España, el reglamento europeo convive con la Ley 6/2020 de servicios electrónicos de confianza. Tres artículos importan aquí.

Valor probatorio (artículo 3). Si en un documento electrónico privado se usó un servicio de confianza no cualificado, la prueba sigue el artículo 326.3 de la Ley de Enjuiciamiento Civil; si el servicio era cualificado, el 326.4. La diferencia pesa en un juicio: si el prestador cualificado figuraba en la lista de confianza, el artículo 326 de la LEC presume que el documento reúne la característica discutida, y la carga de la comprobación pasa a quien impugna.

Identificación (artículo 7). Para un certificado cualificado hay que personarse con DNI, pasaporte u otro medio admitido, salvo que la firma de la solicitud se haya legitimado ante notario; la identificación a distancia, como la videoidentificación, la regula una orden ministerial. El reglamento europeo suma la cartera EUDI como método.

Supervisión (artículo 14). Supervisa a los prestadores el ministerio que el texto consolidado aún llama de Asuntos Económicos y Transformación Digital. Hoy la lista de confianza española la publica el Ministerio para la Transformación Digital y de la Función Pública.

¿Y la cartera española? En las fuentes oficiales que hemos consultado no figura fecha de lanzamiento. El límite legal sigue siendo el 24 de diciembre de 2026.

Las microempresas y pequeñas empresas quedan fuera de la obligación de aceptar la cartera, y a una mediana solo le afecta si debe usar autenticación reforzada. Esta lista sirve para comprobar tu caso y, si estás dentro, para ordenar el trabajo.

1. 1.
   Comprueba si te alcanza el artículo 5 septies, apartado 2. ¿Una ley o un contrato te obliga a usar autenticación reforzada con tus usuarios en línea? ¿Superas el tamaño de pequeña empresa? Si alguna respuesta es no, aceptar la cartera es opcional.
2. 2.
   Si te alcanza, apunta el 24 de diciembre de 2027 y el registro como parte usuaria en España.
3. 3.
   Decide qué documentos te conviene firmar con QES. En España, una diferencia clave está en la prueba: con un servicio cualificado incluido en la lista de confianza, la LEC presume a tu favor la autenticidad, la integridad o la fecha que se discutan.
4. 4.
   Antes de pagar por una «firma cualificada», busca al prestador en la lista de confianza; te lo explicamos en la guía de la lista de confianza.
5. 5.
   Trata la cartera como un método de acceso más, no el único. El reglamento obliga a mantener otros medios, y muchos clientes quizá no la usen.

Con Chaindoc preparas un contrato, lo haces firmar y cobras sin cambiar de herramienta. Respecto a eIDAS, esto es lo que hace hoy.

Cómo firma. Su documentación de seguridad (en inglés) describe una firma PAdES-BES incrustada en cada PDF, ligada a un certificado ECDSA P-256 por usuario que emite la autoridad de certificación de Chaindoc, y la califica de firma avanzada según el artículo 26. Cuando firman todos, el hash del PDF final se registra en SKALE Calypso y cualquiera puede comprobarlo con la verificación gratuita de PDF.

Quién firma. Si necesitas comprobarlo, hay KYC dentro del flujo de firma y el resultado queda en la pista de auditoría: 1 verificación al mes en Personal, 5 en Team y 10 en Business; Free no incluye KYC. Por qué conviene verificar la identidad antes de firmar lo contamos aparte.

Lo que no es. Chaindoc no es prestador de servicios de confianza ni expide certificados cualificados. Su registro en blockchain es, por tanto, un libro mayor electrónico no cualificado: no se le puede negar efecto jurídico solo por no ser cualificado, pero tampoco tiene la presunción de orden e integridad que el artículo 45 duodecies reserva a los cualificados.

El plan Free cuesta 0 €, no caduca, no pide tarjeta e incluye 5 firmas al mes. Tienes los planes en la página de precios y el proceso en el flujo de firma de Chaindoc. Para ver eIDAS, RGPD y NIST lado a lado, está nuestra guía de cumplimiento de firma digital.

eIDAS 2.0 cambia las reglas de la identidad digital y deja como estaba el valor de la firma. Quedan tres fechas:

• 24 de diciembre de 2026: cada Estado ofrece al menos una cartera EUDI.
• 19 de agosto de 2027: se aplican las normas de verificación de identidad para certificados cualificados.
• 24 de diciembre de 2027: las empresas obligadas a usar autenticación reforzada aceptan la cartera si el usuario lo pide.

Antes de esas fechas, comprueba si el artículo 5 septies te alcanza, dónde te conviene una QES y si tu prestador está en la lista de confianza. Para el cuadro completo, sigue con la guía de cumplimiento de firma digital.